Achtung, Nutzer von Ledger-Hardware-Wallets:
Das offizielle Ledger-Supportkonto bestätigte am 9. Oktober: Berichten zufolge wird untersucht, dass Nutzern in Südostasien Gelder entwendet wurden. Betroffen ist der Händler CryptoBilis, ein autorisierter Händler in Indonesien, Malaysia und auf den Philippinen.
Als Vorsichtsmaßnahme hat Ledger den Händler aufgefordert, Verkauf und Versand auszusetzen. Wer in den vergangenen 90 Tagen dort ein Gerät gekauft hat: Wenn es noch nicht initialisiert wurde, sollte es vorerst nicht eingerichtet werden. Wer es bereits eingerichtet und Guthaben darauf übertragen hat, sollte erwägen, die Guthaben auf ein neues Gerät mit einer neu generierten Seed-Phrase zu übertragen.
Der Blockchain-Analyst Specter verfolgte, wie Hunderte Adressen auf Bitcoin, Ethereum und Tron geleert wurden. Der geschätzte Schaden beläuft sich auf mehr als 86 Millionen US-Dollar. Diese Zahl wurde noch nicht unabhängig bestätigt, und Ledger hat die endgültige Ursache noch nicht bekannt gegeben.
Derzeit deutet mehr auf ein Problem in der Lieferkette als auf eine Firmware-Schwachstelle im gesamten Netzwerk hin: Geräte könnten beim Händler ausgetauscht oder manipuliert worden sein, sodass Angreifer die Seed-Phrase bereits im Voraus kannten. Die offizielle Empfehlung, eine neue Seed-Phrase zu verwenden, weist ebenfalls darauf hin, dass „die Seed-Phrasen dieser Geräte nicht vertrauenswürdig sind“ – nicht darauf, dass „alle Ledger-Chips aus Originalgeräten aus der Ferne geknackt wurden“.
Der ehemalige Mt.Gox-Chef Mark Karpelès hat öffentlich dazu aufgerufen, Fotos von geöffneten Geräten einzureichen, um zu überprüfen, ob zusätzliche Komponenten auf der Hauptplatine angebracht wurden. Das ist weiterhin ein Ermittlungsansatz und kein abschließendes Ergebnis.
Wenn du dein Gerät nicht bei CryptoBilis gekauft hast, fordert diese Mitteilung nicht alle Nutzer auf, ihre Guthaben zu übertragen. Die größte Gefahr bei Hardware-Wallets besteht nach wie vor darin, ein manipuliertes Gerät zu kaufen. Kaufe nur auf der offiziellen Ledger-Website, prüfe nach Erhalt mit dem offiziellen Verfahren, ob das Gerät echt ist, und erstelle die Seed-Phrase ausschließlich auf dem Bildschirm des Geräts. Fotografiere sie niemals, lade sie nicht hoch und gib sie niemandem weiter.
Ledger wird dir keine private Nachricht schicken, dich nicht anrufen und niemals nach den 24 Wörtern fragen. Wer diesen Vorfall zum Anlass nimmt, dir dabei zu helfen, „deine Wallet zu überprüfen“, ist ein Betrüger.
Das offizielle Ledger-Supportkonto bestätigte am 9. Oktober: Berichten zufolge wird untersucht, dass Nutzern in Südostasien Gelder entwendet wurden. Betroffen ist der Händler CryptoBilis, ein autorisierter Händler in Indonesien, Malaysia und auf den Philippinen.
Als Vorsichtsmaßnahme hat Ledger den Händler aufgefordert, Verkauf und Versand auszusetzen. Wer in den vergangenen 90 Tagen dort ein Gerät gekauft hat: Wenn es noch nicht initialisiert wurde, sollte es vorerst nicht eingerichtet werden. Wer es bereits eingerichtet und Guthaben darauf übertragen hat, sollte erwägen, die Guthaben auf ein neues Gerät mit einer neu generierten Seed-Phrase zu übertragen.
Der Blockchain-Analyst Specter verfolgte, wie Hunderte Adressen auf Bitcoin, Ethereum und Tron geleert wurden. Der geschätzte Schaden beläuft sich auf mehr als 86 Millionen US-Dollar. Diese Zahl wurde noch nicht unabhängig bestätigt, und Ledger hat die endgültige Ursache noch nicht bekannt gegeben.
Derzeit deutet mehr auf ein Problem in der Lieferkette als auf eine Firmware-Schwachstelle im gesamten Netzwerk hin: Geräte könnten beim Händler ausgetauscht oder manipuliert worden sein, sodass Angreifer die Seed-Phrase bereits im Voraus kannten. Die offizielle Empfehlung, eine neue Seed-Phrase zu verwenden, weist ebenfalls darauf hin, dass „die Seed-Phrasen dieser Geräte nicht vertrauenswürdig sind“ – nicht darauf, dass „alle Ledger-Chips aus Originalgeräten aus der Ferne geknackt wurden“.
Der ehemalige Mt.Gox-Chef Mark Karpelès hat öffentlich dazu aufgerufen, Fotos von geöffneten Geräten einzureichen, um zu überprüfen, ob zusätzliche Komponenten auf der Hauptplatine angebracht wurden. Das ist weiterhin ein Ermittlungsansatz und kein abschließendes Ergebnis.
Wenn du dein Gerät nicht bei CryptoBilis gekauft hast, fordert diese Mitteilung nicht alle Nutzer auf, ihre Guthaben zu übertragen. Die größte Gefahr bei Hardware-Wallets besteht nach wie vor darin, ein manipuliertes Gerät zu kaufen. Kaufe nur auf der offiziellen Ledger-Website, prüfe nach Erhalt mit dem offiziellen Verfahren, ob das Gerät echt ist, und erstelle die Seed-Phrase ausschließlich auf dem Bildschirm des Geräts. Fotografiere sie niemals, lade sie nicht hoch und gib sie niemandem weiter.
Ledger wird dir keine private Nachricht schicken, dich nicht anrufen und niemals nach den 24 Wörtern fragen. Wer diesen Vorfall zum Anlass nimmt, dir dabei zu helfen, „deine Wallet zu überprüfen“, ist ein Betrüger.